Arnaque au QR code : comment la reconnaître et que faire ?

Un QR code, c'est un lien : on lit avant d'ouvrir.

La réponse en 2 lignes. Un QR code peut ouvrir un faux site ou préparer un paiement vers un mauvais destinataire. Regardez le support et l'action annoncée avant de continuer. Pour une QR-facture suisse, contrôlez les informations du paiement avant validation. Si vous avez transmis des données de carte ou validé une opération suspecte, contactez immédiatement votre banque par votre canal habituel.

Les premiers gestes

Examinez le support : une étiquette ajoutée sur un code existant mérite une vérification.
Lisez l'action proposée avant d'ouvrir une page ou de confirmer une opération.
Ne saisissez pas vos identifiants sur une page de connexion ouverte depuis un QR code inattendu.
Vérifiez indépendamment la demande : utilisez des coordonnées déjà connues, plutôt que celles du message suspect.

Les pièges à reconnaître

Support	Risque	Vérification utile
Parcmètre ou affiche	Code remplacé par un autocollant frauduleux	Examiner le support et vérifier le moyen de paiement prévu
Courrier prétendument officiel	Installation d'un programme malveillant	Confirmer la demande par le canal habituel
Courriel demandant une connexion	Vol du mot de passe	Accéder séparément à son compte
QR-facture	Ordre de paiement trompeur	Contrôler le bénéficiaire, le compte et le montant

La fiche de l'OFCS consacrée au quishing décrit notamment des codes recollés sur des parcmètres. Consultez ses recommandations avant d'utiliser un code public : observez le support et lisez la destination annoncée. Un aspect professionnel ou un logo connu ne suffit pas à établir l'authenticité de la demande.

Le cas particulier de la QR-facture suisse

Une QR-facture contient des données de paiement également lisibles sur le document. Le document explicatif de l'État de Vaud permet de repérer les champs : compte, bénéficiaire, référence et montant. Comparez-les à ce qui est affiché avant de valider. Vérifiez aussi que la facture correspond à une prestation attendue. Si les coordonnées ont changé ou si la demande vous surprend, demandez confirmation au créancier par un contact déjà connu.

Vous avez scanné : que faire maintenant ?

Vous avez seulement ouvert la page : fermez-la et ne poursuivez pas la demande.
Vous avez donné un mot de passe : changez-le depuis l'accès habituel au compte et remplacez-le aussi là où il était réutilisé.
Vous avez transmis des données de carte : demandez immédiatement son blocage à l'émetteur et surveillez les opérations.
Vous avez confirmé un paiement : contactez sans attendre votre banque pour demander si une intervention reste possible ; le remboursement n'est pas automatique.

Les consignes officielles contre les messages frauduleux rappellent l'urgence du contact bancaire après transmission de données de paiement. Utilisez le contact figurant sur votre carte ou dans votre accès bancaire habituel.

Une application a été installée

Ne considérez pas sa simple suppression comme une garantie suffisante. L'alerte officielle sur les fausses lettres météorologiques de 2024 décrit une campagne utilisant le courrier postal et recommande une remise aux paramètres d'usine après installation du programme concerné. Consultez cette alerte si votre situation correspond ; pour un autre programme suspect, demandez une évaluation technique. Contactez votre banque depuis un appareil fiable si des accès financiers ont pu être exposés.

Préserver les traces et signaler

Gardez une photo du support, l'adresse obtenue, les messages et les justificatifs du paiement. Prévenez le responsable du lieu par son contact habituel pour qu'il fasse vérifier le code. Dans le formulaire d'annonce de l'OFCS, décrivez où le code se trouvait et ce que vous avez fait. L'annonce ne remplace pas une plainte : en cas de dommage, recherchez votre poste dans l'annuaire officiel des postes de police, puis contactez-le avec vos preuves.

Exemple fictif : à Lausanne, une automobiliste remarque une étiquette de travers sur un parcmètre. La page obtenue exige des informations inattendues. Elle ferme la page, utilise un autre moyen de paiement prévu sur place et avertit le responsable du stationnement.

Histoire inventée pour l'exemple.

Garder les bons réflexes

Ne laissez pas une menace de frais ou de fermeture de compte imposer votre rythme. Les conseils de l'État de Vaud sur l'hameçonnage proposent de vérifier la cohérence du message et la destination des liens. Appliquez la même méthode au QR code : demande attendue, action compréhensible, destinataire vérifié. En cas de doute, interrompez la démarche.

Bobby

Lire d'autres fiches

Bobby publie des fiches pratiques adaptées à la Suisse : lois, numéros et organismes suisses. En Suisse, Bobby répond à vos questions ; il ne vous met pas en relation avec des professionnels.

Toutes les fiches Suisse

Sources, vérification, confiance

Vérifié le 6 novembre 2026, pour la Suisse. Confiance : élevée pour les risques et les réflexes ; moyenne pour le traitement d'un appareil compromis, qui dépend du programme installé. L'alerte de 2024 illustre une campagne documentée, sans présumer qu'elle est encore active. Exemple fictif.